ওয়েবসাইট হ্যাক হলে কী করবেন: প্রথম ২৪ ঘণ্টার চেকলিস্ট
ওয়েবসাইট হ্যাক হয়েছে (website hacked) মনে হলে প্রথম কাজ — ঘাবড়াবেন না, আর কিছু মুছে ফেলবেন না। আগে সব পাসওয়ার্ড চেঞ্জ করুন, হোস্টিং কোম্পানিকে জানান, তারপর হ্যাকের আগের একটা ক্লিন ব্যাকআপ ফিরিয়ে আনুন, সব আপডেট করুন, আর শেষে Google Search Console থেকে রিভিউ চান। নিচে প্রথম ২৪ ঘণ্টার পুরো চেকলিস্ট দিলাম, ঘণ্টা ধরে ধরে।
চেকলিস্ট আগে দিচ্ছি, কারণ এই অবস্থায় কেউ লম্বা লেখা পড়তে চান না। কারণ আর ডিটেলস পরে।
এক নজরে: ওয়েবসাইট হ্যাক হলে প্রথম ২৪ ঘণ্টা
| কখন | কী করবেন |
|---|---|
| প্রথম ঘণ্টা | শান্ত থাকুন, স্ক্রিনশট নিন, কিছু ডিলিট করবেন না |
| প্রথম ঘণ্টা | সাইট অ্যাডমিন, হোস্টিং, FTP, ডেটাবেস আর ইমেলের পাসওয়ার্ড চেঞ্জ করুন |
| ১–৩ ঘণ্টা | হোস্টিং কোম্পানিকে জানান, ওঁদের কাছে ব্যাকআপ আছে কিনা জিজ্ঞেস করুন |
| ৩–৮ ঘণ্টা | হ্যাকের আগের ক্লিন ব্যাকআপ রিস্টোর করুন |
| ৮–১২ ঘণ্টা | WordPress, প্লাগইন, থিম — সব আপডেট; অচেনা ইউজার আর প্লাগইন সরান |
| ১২–২৪ ঘণ্টা | Search Console-এ Security Issues চেক করুন, ঠিক হলে রিভিউ চান |
| ২৪ ঘণ্টার মধ্যে | কাস্টমারদের দরকার হলে জানান, পরের বারের জন্য সিস্টেম ঠিক করুন |
সময়গুলো মোটামুটি হিসেব। আপনার সাইটে কম-বেশি লাগতে পারে। আসল কথা হল অর্ডারটা — আগে দরজা বন্ধ, তারপর ঘর পরিষ্কার।
কিভাবে বুঝবেন সাইট সত্যিই হ্যাক হয়েছে
সব প্রবলেম হ্যাক নয়। সাইট খুলছে না মানেই হ্যাক নয় — হোস্টিং ডাউন থাকতে পারে, ডোমেইন এক্সপায়ার হয়ে যেতে পারে। কিন্তু এই সাইনগুলো দেখলে সাবধান হন:
- সাইটে এমন পেজ, যেগুলো আপনি বানাননি — প্রায়ই অচেনা ভাষায়, ওষুধ বা জুয়ার অ্যাড
- Google-এ নিজের সাইট সার্চ করলে অদ্ভুত টাইটেল দেখা যাচ্ছে
- মোবাইলে সাইট খুললে অন্য কোনো সাইটে চলে যাচ্ছে (কম্পিউটারে হয়তো ঠিক দেখাচ্ছে)
- Google রেজাল্টে "This site may be hacked" লেখা, বা ব্রাউজারে লাল ওয়ার্নিং
- অ্যাডমিন প্যানেলে অচেনা ইউজার, বা আপনার পাসওয়ার্ড আর কাজ করছে না
- হোস্টিং কোম্পানি ইমেল করেছে যে আপনার সাইট থেকে স্প্যাম যাচ্ছে
একটা সহজ চেক: Google-এ লিখুন site:আপনারডোমেইন.com — আপনার সাইটের যত পেজ Google জানে, সব দেখাবে। অচেনা পেজ চোখে পড়লে বুঝবেন কিছু একটা গোলমাল আছে।
ঘণ্টা ধরে ধরে: কী করবেন, কেন করবেন
১. শান্ত থাকুন, প্রুফ রাখুন
প্রথমেই সব ফাইল মুছে দেওয়া বা পুরো সাইট ডিলিট করা — এটাই সবচেয়ে বড় ভুল। তাতে ক্লিন পার্টও চলে যায়, আর কোথা দিয়ে হ্যাকার ঢুকল সেটা বোঝার উপায়ও থাকে না।
যা দেখছেন, তার স্ক্রিনশট নিন। কবে প্রথম চোখে পড়ল, লিখে রাখুন। এটা পরে ক্লিন ব্যাকআপ বাছতে কাজে লাগবে।
২. সব পাসওয়ার্ড চেঞ্জ করুন
শুধু WordPress অ্যাডমিন নয়, এই সবগুলো:
- সাইটের অ্যাডমিন লগইন (সব অ্যাডমিন ইউজারের)
- হোস্টিং প্যানেল (cPanel, Plesk বা যেটা আছে)
- FTP বা SFTP
- ডেটাবেস
- যে ইমেল দিয়ে এগুলো খোলা হয়েছে
- ডোমেইন যেখানে কেনা হয়েছে, সেই অ্যাকাউন্ট
লম্বা, আলাদা আলাদা পাসওয়ার্ড দিন। যেখানে টু-ফ্যাক্টর লগইন (OTP) অপশন আছে, চালু করে দিন। আর পাসওয়ার্ডগুলো নিজের কম্পিউটার থেকে চেঞ্জ করুন, যদি সেটা ভাইরাস-মুক্ত হয়।
৩. হোস্টিং কোম্পানিকে জানান
হোস্টিং সাপোর্টকে সোজা লিখুন — "আমার সাইট হ্যাক হয়েছে বলে মনে হচ্ছে, হেল্প চাই।" ওঁরা প্রায়ই সার্ভারের লগ দেখে বলতে পারেন কবে কী চেঞ্জ হয়েছে। অনেক হোস্টিং কোম্পানি নিজেরাই রোজ বা সপ্তাহে ব্যাকআপ রাখে।
একই সার্ভারে আপনার আরও সাইট থাকলে সেগুলোর কথাও বলুন। একটা সাইট থেকে আরেকটায় ছড়িয়ে পড়তে পারে।
৪. ক্লিন ব্যাকআপ ফিরিয়ে আনুন
এখানে "ক্লিন" কথাটাই আসল। কাল রাতের ব্যাকআপ হয়তো হ্যাক হওয়ার পরের — তাতেও খারাপ কোড আছে। তাই প্রথম সাইন যেদিন চোখে পড়েছিল, তার কয়েকদিন আগের ব্যাকআপ বাছুন।
রিস্টোরের আগে এখনকার অবস্থারও একটা কপি রেখে দিন, যাতে দরকার হলে পরে খুঁটিয়ে দেখা যায়। আর মনে রাখবেন, পুরনো ব্যাকআপ রিস্টোর করলে তার পরের নতুন অর্ডার, পোস্ট বা মেসেজ চলে যেতে পারে — সেগুলো আলাদা করে লিখে রাখুন।
ব্যাকআপ না থাকলে? তখন ফাইল ধরে ধরে পরিষ্কার করতে হয়। এটা টেকনিক্যাল কাজ — নিজে না পারলে কোনো এক্সপেরিয়েন্সড লোককে দিন।
৫. সব আপডেট করুন, দরজা বন্ধ করুন
বেশিরভাগ ক্ষেত্রে হ্যাকার ঢোকে পুরনো প্লাগইন, পুরনো থিম বা দুর্বল পাসওয়ার্ড দিয়ে। ব্যাকআপ রিস্টোর করলেন কিন্তু সেই পুরনো প্লাগইন রয়ে গেল — তাহলে আবার একই রাস্তায় ঢুকবে।
- WordPress, সব প্লাগইন আর থিম লেটেস্ট ভার্সনে আনুন
- যে প্লাগইন ব্যবহার করেন না, পুরো সরিয়ে দিন (শুধু বন্ধ রাখা যথেষ্ট নয়)
- অনেকদিন আপডেট পায়নি এমন প্লাগইনের জায়গায় অন্য অপশন খুঁজুন
- অ্যাডমিন ইউজারের লিস্ট দেখুন, অচেনা কাউকে সরান
- ইন্টারনেট থেকে ফ্রি-তে নামানো "প্রিমিয়াম" থিম বা প্লাগইন থাকলে সেটা আগে সরান
একসঙ্গে সব আপডেট না চাপিয়ে একটা একটা করে করুন, আর প্রতিবার সাইট খুলে দেখে নিন সব ঠিক আছে কিনা।
সব পরিষ্কার করার পরেও সাইট আগের চেয়ে অনেক ধীরে খুললে, কোথাও খারাপ কোড রয়ে গেছে কিনা আরেকবার দেখিয়ে নিন। স্পিড কিভাবে চেক করবেন আর কী কী কারণে সাইট স্লো হয়, সেটা আছে ওয়েবসাইট স্পিড বাড়ানোর লেখায়।
৬. Google Search Console চেক করুন
Search Console-এ গিয়ে বাঁদিকের মেনুতে Security Issues রিপোর্ট খুলুন। Google যদি আপনার সাইটে হ্যাক বা ম্যালওয়্যার পেয়ে থাকে, এখানে লেখা থাকবে কোন ধরনের প্রবলেম, আর কয়েকটা এক্সাম্পল পেজ (Google-এর Security Issues রিপোর্টের পেজ)।
সব পরিষ্কার হয়ে গেলে ওই রিপোর্ট থেকেই "Request Review" দিন। কী ঠিক করলেন, ছোট করে সৎভাবে লিখুন। Google আবার চেক করে ওয়ার্নিং সরিয়ে দেয়। অর্ধেক পরিষ্কার করে রিভিউ চাইবেন না — রিজেক্ট হলে আবার শুরু থেকে করতে হয়।
Search Console আগে থেকে সেটআপ না থাকলে এখনই করে নিন। পরের বার Google কিছু পেলে আপনাকে ইমেলে জানাবে।
৭. দরকার হলে কাস্টমারদের জানান
সাইটে যদি কাস্টমারের নাম, ফোন বা অর্ডারের ডিটেলস থাকে, আর সেগুলো বাইরে গেছে বলে সন্দেহ হয় — তাহলে লুকোবেন না। সোজা ভাষায় জানান কী হয়েছে আর ওঁদের কী করা উচিত। সৎ থাকলে ভরসা কমে না, বরং বাড়ে।
কী কী করবেন না
- সব কিছু ডিলিট করে নতুন সাইট বানানো — খুব কম ক্ষেত্রেই এটা লাগে।
- অচেনা "হ্যাক রিমুভাল" সার্ভিসকে লগইন দিয়ে দেওয়া — ইমেল বা ফোনে হঠাৎ এমন অফার এলে সাবধান।
- শুধু অদ্ভুত পেজগুলো মুছে খুশি থাকা — যে কোড ওই পেজ বানাচ্ছে, সেটা না সরালে আবার আসবে।
- পাসওয়ার্ড চেঞ্জ করার আগে রিস্টোর — হ্যাকার তখনও ভেতরে থাকতে পারে।
ডেভেলপার হিসেবে আমার কথা: হ্যাক হওয়া সাইট সামলানোর সময় সবচেয়ে বড় ডিফারেন্স গড়ে দেয় একটা জিনিস — আলাদা জায়গায় রাখা পুরনো ব্যাকআপ আছে কিনা। শুধু হোস্টিংয়ের ভরসায় না থেকে, মাসে অন্তত একবার নিজের কাছেও একটা কপি রাখুন। এটা থাকলে ভয়ের অর্ধেক কমে যায়।
পরের বার যাতে না হয়
হ্যাক মিটে গেলে এই অভ্যাসগুলো চালু করুন:
- রেগুলার আপডেট — মাসে অন্তত একবার সব কিছু দেখে নেওয়া
- অটোমেটিক ব্যাকআপ, আর তার একটা কপি সাইটের সার্ভারের বাইরে
- শক্ত পাসওয়ার্ড আর টু-ফ্যাক্টর লগইন
- যে যে লোককে অ্যাডমিন অ্যাক্সেস দিয়েছিলেন, কাজ মিটলে সরিয়ে দেওয়া
- Search Console চালু রাখা, ইমেল নোটিফিকেশন চেক করা
সাইট সেফ রাখার বাকি নিয়ম ডিটেলসে পাবেন ওয়েবসাইট সিকিউরিটির লেখায়। আর মাসে মাসে সাইটের পুরো মেইনটেন্যান্স কিভাবে করবেন, সেটা আছে ওয়েবসাইট মেইনটেন্যান্সের পুরো গাইডে।
Google-এর web.dev-এ হ্যাক হওয়া সাইট নিয়ে একটা ইংরেজি গাইডও আছে, টেকনিক্যাল লোকের কাজে লাগবে (web.dev: Help, I think I've been hacked)।
শেষ কথা
ওয়েবসাইট হ্যাক হওয়া ভয়ের ব্যাপার, কিন্তু প্রায় সব ক্ষেত্রেই ঠিক করা যায়। অর্ডারটা মনে রাখুন — শান্ত থাকা, পাসওয়ার্ড চেঞ্জ, হোস্টিংকে জানানো, ক্লিন ব্যাকআপ, আপডেট, আর শেষে Google-এ রিভিউ।
এই ঝামেলা নিজে সামলাতে না চাইলে সাইটের মেইনটেন্যান্সের দায়িত্ব আমাকে দিতে পারেন। যোগাযোগ করুন — WhatsApp-এ কী দেখছেন লিখে পাঠান। কী কী কাজ করি, দেখতে পারেন সার্ভিস পেজে।
সাধারণ প্রশ্ন ও উত্তর
Website hacked কিনা বুঝব কিভাবে?
কয়েকটা কমন সাইন আছে — সাইটে অচেনা ভাষার বা অচেনা জিনিসের পেজ, মোবাইলে খুললে অন্য সাইটে চলে যাওয়া, Google-এ সাইটের নিচে "This site may be hacked" লেখা, ব্রাউজারে লাল ওয়ার্নিং, বা অ্যাডমিনে অচেনা ইউজার। Google Search Console-এর Security Issues রিপোর্টেও Google কিছু পেলে জানিয়ে দেয়।
হ্যাক হলে কি Google আমার সাইট চিরকালের জন্য সরিয়ে দেবে?
সাধারণত না। সাইট পরিষ্কার করে Search Console থেকে রিভিউ চাইলে Google আবার চেক করে, আর প্রবলেম মিটে গেলে ওয়ার্নিং সরিয়ে দেয়। কতদিন লাগবে তার কোনো ফিক্সড সময় নেই, তাই যত তাড়াতাড়ি পরিষ্কার করবেন তত ভালো।
শুধু ব্যাকআপ রিস্টোর করলেই কি কাজ শেষ?
না। হ্যাকার যে দরজা দিয়ে ঢুকেছিল — পুরনো প্লাগইন, দুর্বল পাসওয়ার্ড — সেটা বন্ধ না করলে আবার ঢুকতে পারে। ব্যাকআপ রিস্টোরের পরে সব পাসওয়ার্ড চেঞ্জ করুন, সব কিছু আপডেট করুন, আর অচেনা ইউজার মুছে দিন।
নিজে ঠিক করব, নাকি কাউকে দিয়ে করাব?
পাসওয়ার্ড চেঞ্জ করা আর হোস্টিংকে জানানো আপনি নিজেই করতে পারেন। কিন্তু ফাইলের মধ্যে লুকোনো খারাপ কোড খোঁজা বা ক্লিন ব্যাকআপ চেনা টেকনিক্যাল কাজ। ভরসা না পেলে কোনো এক্সপেরিয়েন্সড ডেভেলপার বা আপনার হোস্টিং কোম্পানির সাপোর্টকে দিয়ে করানোই ভালো।
সর্বশেষ আপডেট: